Binance hack'inde EIP-7702 delegasyonu hot wallet'ı saldırgan koduna dönüştürdü: 6,3 milyar dolar buharlaştı

Ne oldu

29 Ekim 2026'da Binance hot wallet'ları, yaklaşık yarım saat içinde birkaç blokzincir üzerinden bir saldırana ödeme yaptı. Binance kaybı yaklaşık 6,3 milyar dolar, Chainalysis ise yaklaşık 6,4 milyar dolar olarak açıkladı; hangi rakama bakılırsa bakılsın bu, kriptonun kaydettiği en büyük hırsızlık. dev.to'daki bir Panda Security yazısına göre, çalınan fonların yaklaşık 3 milyar dolarlık kısmı stablecoin ihraççıları ve ortakları tarafından donduruldu.

Transferlerin çoğu olağan imzalı çekimlerdi. Ethereum ayağı ise öyle değildi: EIP-7702 aracılığıyla saldırgan, Etherscan'ın Binance 14 olarak etiketlediği hot wallet'ı saldırgan kontrolündeki kontrat kodunu çalıştırır hale getirdi; dört dakikadan kısa bir süre sonra yaklaşık 167.464 ETH ve 63 token tek bir işlemle wallet'tan çıktı.

EIP-7702 denklemi nasıl değiştirdi

Mayıs 2025'teki Pectra yükseltmesinden bu yana aktif olan EIP-7702, authorization listesinde zincir kimliği, adres ve nonce üçlülerini taşıyan, her biri bir externally owned account tarafından imzalanmış tip-4 "set code" işlemi ekler. İşlendikten sonra, o hesaba yapılan çağrılar atanmış kontratı hesabın kendi bağlamında çalıştırır: bakiyesi, depolaması, token varlıkları ve başka yerlerde sahip olduğu tüm roller veya yönetici hakları dahil.

Yazının da vurguladığı gibi, imzalı bir authorization'ı zincire üstüne gönderen ve gas ücretini ödeyen herhangi biri olabilir; üçlü yalnızca işlenme anındaki nonce ile eşleşirse uygulanır; ve ne bir tutar ne de bir alıcı belirtir. Bir 7702 authorization'ı imzalamak, ödeme onaylamaktan çok hesabı teslim etmeye yakındır.

Saldırı zincir üzerinde

Tibane Labs analizleri ve bir IMD olay raporu hazırlığı şöyle izliyor: Tornado Cash üzerinden fonlandığı bildirilen bir operatör hesabı, UTC ile 16:00 civarında kontrolündeki wallet'larda önceki bir sürümü prova ettikten sonra bir sweeper kontratı yayınladı. Tibane Labs'ın decompile edilmiş kodu, tüm ETH ve listelenmiş token bakiyelerini aktaran bir sweep fonksiyonu ile rastgele çağrılar için bir execute fonksiyonu gösteriyor; ikisi de sabit kodlanmış bir operatör adresine kilitli.

UTC ile 20:20:59'da operatör, 50 authorization taşıyan ve tümü sweeper'ı gösteren, 18.914.775'ten 18.914.824'e kadar ardışık nonce'lara sahip bir tip-4 işlem gönderdi. Analistler her imzacıyı kurtardı: 50'si de Binance 14'ün anahtarıyla imzalanmıştı. Bu batch'in var olma nedeni, wallet'ın neredeyse her blokta işlem yapması ve nonce'unun hiç sabit durmaması; gelecekteki nonce'lardan oluşan bir pencereyle bir imzanın eşleşmesi garanti oluyordu ve EIP-7702 geçersiz girdileri işlemi geri almadan atlıyor. Tibane Labs ayrıca, wallet'ın aralıktaki ilk nonce'u delegasyon gelmeden dakikalar önce harcadığını, yani imzaların eski bir sızmadan alınmadığını, canlı olarak üretildiğini belirtiyor.

UTC ile 20:24:23'te operatör Binance 14'ü doğrudan çağırdı; delege edilen sweeper, wallet'ın kendisi olarak çalıştı ve tek bir işlemde yaklaşık 167.464 ETH ile 63 token'ı — CoinDesk'e göre aralarında yaklaşık 1,6 milyar dolarlık USDT — saldırgana aktardı. Yirmi dört saniye sonra Binance 16, aynı adrese delegasyon olmaksızın düz transferlerle 28.005,6 ETH gönderdi. İki wallet toplamda yaklaşık 200.000 ETH kaybetti.

Delegasyon bakiyelerin ötesine de ulaştı. TRM Labs (CoinDesk aracılığıyla) ve Tibane Labs'a göre Binance 14, USDC tutan ayrı bir Binance akıllı kontrat wallet'ını kontrol ediyordu; saldırgan, sweeper'ın execute fonksiyonu aracılığıyla bu wallet'a iki çağrıda 823 milyon USDC serbest bıraktı; Circle bu fonları daha sonra dondurdu. Binance sistemleri yatırımları delege edilmiş wallet'a yönlendirmeye devam ettiği için saldırgan UTC ile 21:04 ve 21:44 civarında yeniden süpürdü. Delegasyon ancak 30 Ekim UTC 00:10:35'te sona erdi; Binance 14, zero adrese delege eden bir tip-4 işlem göndererek kodunu boşa döndürdü.

Neden mi, yükseltici mi

Cryptonews, CCN ve CryptoTicker haberlerine dayanan ikinci bir dev.to analizi, paranın çoğunun EIP-7702 devreye girmeden çıktığına dikkat çekiyor: CCN, delegasyon yolu dışında 3,66 milyar dolar çalındığını sayarken CryptoTicker bu yola 2,8 milyar dolar atfediyor. TRM Labs saldırıyı Kuzey Kore'ye atfetti. Bu okumaya göre EIP-7702 ihlale neden olmadı, onu büyüttü.

Binance ne olduğunu söylüyor

Binance'ın ilk incelemesi, saldırgana çekim işlemi gönderebilecek bir service container'a erişim sağlayan ele geçirilmiş bir DevOps mühendisinin dizüstü bilgisayarına işaret ediyor ve bir private key sızıntısına dair kanıt bulamamış. Eş CEO Richard Teng daha sonra araştırmacıların ek ihlal noktaları bulduğunu ve EIP-7702 delegasyonunun borsanın normal onay kontrollerinden geçmediğini söyledi. Zincir verilerinde EIP-7702'nin kendisinde bir kusur gösteren hiçbir şey yok: ne bir akıllı kontrat hatası, ne sahte imza.

Neden önemli

Wallet ve saklama (custody) hizmeti geliştiricileri için bu olay, bir imzalama ihlalini yeniden fiyatlandırıyor: bir 7702 authorization'ı tek seferlik bir ödeme değil, hesabın ve o adresin taşıdığı her iznin sürekli kontrolüdür ve açıkça temizlenene kadar sürer. 50'li nonce batch'i, imzaların ele geçirilmiş bir süreç içinde üretildiğine işaret ediyor; kod denetimlerinin incelemediği bir yetki zinciri sorunu bu. Operasyonel açıdan delegasyon neredeyse dört saat canlı kaldı ve bu süreçte yatırımlar delege edilmiş wallet'a gelmeye devam etti; kodu temizlemek de anahtarı döndürmüyor. 6,3 milyar dolarla bu olay, operasyonel bir ihlalin artı yeni bir işlem primitif'inin neler başarabileceğinin tavanını belirliyor — ve başarısızlık süreçteydi, kriptografide değil.